CVE-2026-48277: Validação Imprópria de Entrada no Adobe ColdFusion
A CVE-2026-48277 é uma fraqueza de Validação Imprópria de Entrada (CWE-20) no Adobe ColdFusion, descrita como capaz de permitir execução arbitrária de código no contexto do usuário atual, sem interação do usuário. O CNA classifica como crítica, com pontuação CVSS 3.1 base de 10. Ela não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Visão geral
A Adobe publicou um aviso de segurança para o ColdFusion descrevendo uma fraqueza de Validação Imprópria de Entrada (CWE-20). O registro informa que a exploração pode levar à execução arbitrária de código no contexto do usuário atual e não requer interação do usuário. O escopo é alterado.
Impacto
- O vetor CVSS 3.1 classifica o impacto em confidencialidade, integridade e disponibilidade como alto.
- O CNA atribuiu pontuação base 10, com severidade crítica.
- O registro descreve execução arbitrária de código no contexto do usuário atual.
Produtos e versões afetados
- Produto: Adobe ColdFusion.
- A descrição cita as versões 2025.9, 2023.20 e anteriores.
- O registro também lista ramos de atualização individuais das versões 2023 e 2025.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA no registro, portanto a exploração ativa não está confirmada. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0,01295, com percentil de 0,6959, conforme registrado em 2026-10-13.
Correção e mitigação
- Consulte o aviso de segurança da Adobe APSB26-68 e aplique a atualização do fornecedor para o ramo de versão do ColdFusion em uso.
- O registro não lista versões corrigidas; confirme a compilação corrigida no aviso.
- Até a correção, limite a exposição de rede das interfaces do ColdFusion e aplique o princípio do menor privilégio à conta de serviço que o executa.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns direcionadas ao ColdFusion.
- Monitore processos filhos inesperados iniciados pelo serviço do ColdFusion.
- Acompanhe alterações inesperadas de arquivos nos diretórios do ColdFusion.
Limitações das informações disponíveis
O registro não contém lista de versões corrigidas, detalhes de exploração fornecidos pelo fabricante nem descrição técnica do vetor de entrada. Os dados de versões afetadas vêm do registro e devem ser verificados no aviso.
Perguntas frequentes
A CVE-2026-48277 está sendo explorada ativamente?
O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
O que a vulnerabilidade permite?
Segundo o registro, pode resultar em execução arbitrária de código no contexto do usuário atual, sem interação do usuário.
Quais versões são afetadas?
A descrição cita o ColdFusion 2025.9, 2023.20 e anteriores, e o registro lista vários ramos de atualização das versões 2023 e 2025.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.